Sui enthüllt, was drei Mainnet-Fusion-Stopps nach großem Netzwerk-Upgrade verursacht hat

Suis Mainnet erlitt zwischen dem 28. und 29. Mai drei separate Ausfälle, nachdem das 1.72-Release des Netzwerks Edge Cases in der Gas-Charging-Logik und der Validator-Neustart-Logik offenbart hatte, wie aus einem Postmortem der Sui Foundation hervorgeht. Die Foundation erklärte, dass die Probleme inzwischen behoben wurden, die Netzwerkaktivität wieder aufgenommen wurde und „keine Nutzerfonds gefährdet waren".

Die Vorfälle begannen am Donnerstag, dem 28. Mai, als Suis Mainnet gegen 7:00 Uhr PT zum Stillstand kam und bis etwa 13:30 Uhr PT nicht verfügbar blieb. Ein zweiter Ausfall folgte am Freitagmorgen, beginnend gegen 5:00 Uhr PT und endend gegen 8:30 Uhr PT. Der dritte Ausfall begann am Freitagnachmittag gegen 13:30 Uhr PT und wurde gegen 19:20 Uhr PT behoben.

Laut der Foundation gingen die ersten beiden Ausfälle auf Crash-Bugs zurück, die aus der Interaktion zwischen der Gas-Charging-Logik und Suis 1.72-Upgrade entstanden, welches Address Balances eingeführt hatte. Der dritte Ausfall war ein separates Ereignis, das während einer geplanten Epoch-Änderung ausgelöst wurde, nachdem Validator-Neustarts einen latenten Bug in der Speicherung des Randomness-Zustands aufgedeckt hatten.

„Während der Ausfälle waren keine Nutzerfonds gefährdet, und das Netzwerk hat beim Wiederanlauf keine bestätigten Transaktionen rückgängig gemacht", erklärte die Sui Foundation. „Derzeit haben die Validatoren die bekannten Probleme, die durch den ursprünglichen Gas-Charging-Bug und den Randomness-State-Bug verursacht wurden, vollständig behoben, und die Netzwerkaktivität wurde wieder aufgenommen."

Sui Gas-Charging-Bug löste anfängliche Ausfälle aus

Das erste Problem betraf Suis neues Address-Balance-Feature, das es Nutzern ermöglicht, Mittel zu speichern und Gas zu bezahlen, ohne ausschließlich auf Coin-Objekte angewiesen zu sein. Transaktionen auf Sui können Gas über Address Balances, Coin-Objekte oder eine hybride Struktur, die beides kombiniert, bezahlen.

Der Edge Case trat in diesem hybriden Gas-Pfad auf. Wenn eine Transaktion versuchte, von einer Address Balance zu zahlen, die konkurrierende Transaktionen nicht abdecken konnte, wurde sie vom Scheduler korrekt mit einem InsufficientFundsForWithdraw-Fehler abgebrochen. Doch später, beim Gas Smashing – dem Prozess der Zusammenführung von Input-Coins zu einem einzigen gas-zahlenden Coin – konnte dieselbe Reservierung noch einmal versuchen, Mittel abzubuchen.

Laut der Erklärung der Foundation trat der Absturz nicht direkt beim Gas Smashing auf, sondern während der Abrechnungsphase, als Balance-Deltas durch eine Systemtransaktion abgeglichen wurden. Ein negativer Delta, der auf ein Null-Guthaben angewendet wurde, verursachte einen Underflow.

Die sofortige Lösung war konzeptionell unkompliziert: Gas Smashing vermeiden, wenn eine Transaktion mit InsufficientFundsForWithdraw abgebrochen wird. Die Validatoren übernahmen diesen Fix am Donnerstag und brachten das Netzwerk wieder online. Die Foundation räumte jedoch ein, dass der Patch eine Übergangslösung war, die gewählt wurde, um das Netzwerk wiederherzustellen, während die Ingenieure eine vollständigere Lösung entwickelten.

„Die Änderung der Gas-Logik ist ein heikler Vorgang", schrieb die Foundation. „Wie oben erläutert, gibt es komplizierte Interaktionen zwischen Address Balances und Coins. Abgesehen von der Behebung von Bugs müssen Änderungen der Gas-Logik das gesamte bisherige Verhalten beibehalten oder ein geeignetes Version-Gating verwenden."

Dieser Übergangs-Patch enthielt eine bekannte Schwachstelle. Wenn eine Transaktion mehrere Abbruchgründe hatte, konnte ein anderer Fehler die InsufficientFundsForWithdraw-Bedingung maskieren. Als dies am Freitagmorgen geschah, konnte der ursprüngliche Underflow-Pfad erneut erreicht werden, was zu einem zweiten Ausfall führte.

Epoch-Änderung legte Randomness-State-Bug offen

Der dritte Ausfall trat auf, nachdem das Netzwerk am Freitagmorgen den normalen Betrieb wieder aufgenommen hatte. Bei der nächsten geplanten Epoch-Änderung konnten die Validatoren den Übergang aufgrund eines Bugs im verteilten Schlüsselgenerierungsprotokoll von Sui, kurz DKG, nicht abschließen, das die Randomness für Transaktionen bootstrapt, die auf On-Chain Randomness angewiesen sind.

Während des früheren Neustart-Zyklus war die Beteiligung nicht hoch genug für den DKG-Prozess der nächsten Epoch, sodass die Randomness wie vorgesehen deaktiviert wurde. Das Problem bestand darin, dass das Fehlschlag-Ergebnis nicht auf der Festplatte gespeichert wurde. Als die Validatoren erneut neu starteten, kehrten sie zurück, ohne sich zu erinnern, dass DKG fehlgeschlagen war.

„Da sich die Validatoren nicht mehr daran erinnerten, dass DKG fehlgeschlagen war, konnte keines von beidem eintreten, die pausierte Warteschlange wuchs, und die End-of-Epoch-Logik – die diese Warteschlange vor dem Abschluss leeren muss – wartete auf ein DKG, das niemals kommen würde", erklärte die Foundation.

Die Lösung bestand aus zwei Teilen: dem Persistieren des DKG-Status über Neustarts hinweg und dem Hinzufügen eines Mechanismus, der es den Validatoren ermöglichte, die feststeckende Epoch an einem koordinierten Punkt zu schließen. Dieser Mechanismus wurde einmalig verwendet, um die betroffene Epoch zu schließen, woraufhin das Netzwerk in die nächste Epoch überging und die Randomness wiederhergestellt wurde.

Das Postmortem stellte die Ausfälle als eine umfassendere technische Lektion für Sui dar. Die Foundation erklärte, dass die End-of-Epoch-Resilienz weiterer Investitionen bedarf, insbesondere in Bezug auf graceful Degradation und operative Force-Close-Mechanismen. Außerdem wurde festgestellt, dass das Gas Charging dasselbe Maß an Sorgfalt verdient wie die Move VM oder der Mysticeti-Konsens, angesichts seiner Interaktion mit der Abrechnungsphase, Konservierungsprüfungen und Scheduling.

Zum Zeitpunkt der Veröffentlichung wurde SUI bei 0,8798 $ gehandelt.